JP2016538642A

JP2016538642A - 構成可能な入力を有する安全制御システム

Info

Publication number: JP2016538642A
Application number: JP2016530208A
Authority: JP
Inventors: フット，ティロ; ザイツィンガー，ディートマー; クルーゲ，マルコ; レーマン，シュテファン
Original assignee: ピルツゲーエムベーハーアンドコー．カーゲー
Priority date: 2013-11-13
Filing date: 2014-11-12
Publication date: 2016-12-08
Anticipated expiration: 2034-11-12
Also published as: CN105765470B; EP3069202A1; US10558189B2; WO2015071321A1; DE102013112488A1; JP6706201B2; US20160252891A1; CN105765470A; EP3069202B1

Abstract

【課題】複数の異なる安全送信器に接続され、少なくとも一つのアクチュエータのスイッチを入れ、安全にスイッチを切るための安全制御システム(10)を提供する。【解決手段】安全送信器の入力信号(58)を評価し、出力信号を生成するための少なくとも一つの入力モジュール(20)と、前記入力モジュール(20)の出力信号に応じてアクチュエータを安全に作動させるための少なくとも一つの出力モジュール(30)とを含み、前記入力信号(58)が安全送信器のタイプに応じて、異なる信号パラメータ(72)を有し、前記安全制御システムは、前記入力モジュール(20)のための前記信号パラメータ(72)が格納されるメモリを有する設定ユニット(70)を含み、前記入力モジュール(20)は、前記信号パラメータ(72)の関数として入力信号(58)を評価する、安全制御システム。【選択図】図３

Description

本発明は、安全送信器の入力信号を評価し出力信号を生成するための少なくとも一つの入力モジュールと、前記入力モジュールの出力信号に応じて少なくとも一つのアクチュエータを安全に作動させる少なくとも一つの出力モジュールとを含み、アクチュエータのスイッチを入れ、スイッチを安全に切るための安全制御システムに関するものである。

この種の安全制御システムは、例えば、出願人による操作説明書”PSSuniversal, Programmable control systems PSS(登録商標), System Description” 書類番号21256-DE-04から公知である。

本発明に関連して、安全制御システムは、好ましくは少なくとも一つの入力モジュールおよび１つの出力モジュールを有するモジュラーデバイスである。入力モジュールは、接続された安全送信器、例えば、光バリア、光カーテン、非常停止押しボタンまたは保護ドアスイッチから入力信号を受信して、論理接続を介してそれらから出力信号を生成する。出力信号に応答して、出力モジュールは、目標とされた動きもしくは入力信号に応じた環境の応答を達成するためアクチュエータを駆動する。その結果、例えば、押圧ロボットまたは溶接ロボットといった機械のスイッチを切り、動作中の危険を停止しまたは、安全な状態にそれを持ってくることができる。

安全送信器は、２種類の安全送信器に区別される。第１のタイプの安全送信器は受動的な安全送信器であり、それ自身入力信号を生成しない。受動的な安全送信器は、静止電圧信号またはクロック信号の形で、通常、安全制御システムのような外部源からテスト信号を受信して、もし安全送信器が安全な状態を示す場合それを評価安全制御システムにそのまま送信する。もし状態が変化した場合、例えば安全送信器が作動し、安全送信器は信号の流れを遮断する。安全制御システムは、信号の不存在に基いて状態の変化を検出する。

１つの受動的な安全送信器は、例えば、２つの通常閉じた（常閉の）接点を有する２チャネル非常停止スイッチである。この明細書において、常閉接点とは、切替えられる信号経路が、通常の非作動状態において、閉鎖されていることを意味する。従って、非作動状態で、入力側上の安全送信器に送られるテスト信号は、その出力側で不変に存在する。安全送信器からの出て行く信号は、評価安全制御システムの入力信号になる。その結果、入力信号は正常運転中に、安全制御システムに常に適用される。非常停止スイッチが作動するとすぐに、信号の流れは中断され、入力信号は不存在となる。そこにおいて、安全制御システムは、監視される機械のスイッチを切ることができるかまたは安全な状態にそれを持ってくることができる。

さらにまた、受動的な安全送信器という形で反対の(antivalent)２チャネルを持った安全性送信器が公知である。それは、２つの常閉接点の代わりに、リンクされた１つの常閉接点および１つの常開接点を有する。常開接点は、常閉接点とは逆の接点である。すなわち、常開接点は、信号経路は常時開で、スイッチが作動する場合にだけ閉鎖される。反対の２チャネルを持った安全性送信器において、１つの信号経路はこのように閉鎖され、他の信号経路はすべての状態において開いている。この場合、信号が以前存在しなかった入力に存在し、信号は２番目の入力で不存在となるという点で、安全制御システムは状態の変更を検出する。

他のタイプの安全送信器として、能動的な安全送信器が公知である。それは、各状態を表す入力信号を自動的に生成する。能動的な安全送信器は出力信号スイッチング装置(OSSDs)とも呼ばれ、安全制御システムのためのそれらの入力信号はOSSD信号と呼ばれる。能動的な安全送信器は、光バリアや光カーテンのように、一般的により複雑な安全送信器となる。OSSDsは、監視コンポーネントを評価しOSSD信号を生成するための自分自身の電子ユニットを持つ。受動的な安全送信器と同様に、入力信号が不存在であるかまたは変化したということに基づき、付随する安全制御システムは能動的な安全送信器の状態の変更を検出する。

受動的および能動的な両安全送信器において、安全送信器の状態を表す入力信号は好ましくはテストパルスに重畳される静止電圧である。よって、安全送信器に接続したときに、信号ライン上の短絡およびクロス短絡とともに、故障を検出することができる。加えて、スイッチオフ試験は、テストパルスにより実施することもできる。クロック信号は、通常、安全制御システムによって生成され、受動的な安全送信器の場合直接的に、能動的な安全送信器の場合間接的に入力信号に重畳される。入力端でクロック信号を読み出すことによって、安全制御システムは、考えられるあらゆる故障に対して閉じることができる。

受動的な安全送信器の場合、安全送信器に送られるテスト信号がすでにクロックを有するという点で、動的なクロック信号の重畳は、一般に直接的になされる。自動的に入力信号を生成する能動的な安全送信器の場合、動的なクロック信号は、指定されたスキームに応じて自己発生するかまたは外部トリガをかけられて自己発生する。後者は、クロックが供給されてもよい安全送信器の離れたテスト入力端を通して起こる。そして、それを基礎として、安全送信器はテストパルスを入力信号に印加してもよい。

独国特許公報第197 07 241 C2号

安全送信器の各異なるタイプを１つの安全制御システムに接続するために、特定の入力モジュールを各タイプの安全送信器に提供することが考えられる。あるいは、入力モジュールは、異なるタイプの安全送信器を１台の入力モジュールに接続することを可能にする各入力端で、フィルタを有していてもよい。フィルタはテストパルスを抑制し、その結果、静止信号は論理的評価に使われることができる。しかしながら、これは、必然的に全体的に評価の遅れにつながるという結果になる。このように、安全制御システムの応答時間は増大する。

さらにまた、異なる入力端を有して、これらの入力端の構成に応じて、接続された安全送信器のタイプに従って閉じる入力モジュールが、公知である。この種の安全交換装置は、例えば、特許文献１に記載されている。しかしながら、これらのデバイスには入力モジュールが入力端をも有するという不利な点がある。その結果、配線はより複雑になりエラーを起こしやすくなる。加えて、これらの入力モジュールによって、限定された数の異なる安全送信器のタイプだけしかカバーすることができない。

従って、本発明の目的は、複数の異なる安全送信器を備え、柔軟に、かつ経済的に使用することができる、より良好な安全制御システムを提供することである。

本発明の一態様では、まず冒頭に記述したタイプの安全制御システムであって、入力信号が、安全送信器のタイプに応じてそれぞれ異なる信号パラメータを有し、安全制御システムが、入力モジュールのための前記信号パラメータが格納されるメモリを有する設定ユニットを含み、前記入力モジュールは、信号パラメータの関数として、前記入力信号を評価するシステムによって、前記目的は達成される。

本発明の別の態様では、少なくとも一つのアクチュエータをスイッチオンして安全にスイッチをオフする方法であって、次の各ステップを含む方法によって、前記目的は達成される。

モニタされるべき安全臨界プロセスに応じて、入力信号(58)を生成するための安全送信器(40, 60)を提供するステップ、
少なくとも一つの入力モジュール(20)および１つの出力モジュール(30)を有する安全制御システム(10)を提供するステップ、
前記安全制御システム(10)の設定ユニット(70)の中の前記安全送信器(40, 60)のタイプに応じて、前記入力信号(58)のための信号パラメータ(72)を格納するステップ、
前記設定ユニット(70)に格納される前記信号パラメータ(72)に応じて、前記入力モジュール(20)を介して前記入力信号(58)を評価するステップ、
前記評価に応じて、前記出力モジュール(30)のための出力信号(68)を生成するステップ、および
前記出力信号(68)に応じて、前記出力モジュール(30)を介してアクチュエータを作動させるステップ。

このように安全制御システム、特に入力モジュールを、接続される安全送信器に対して個々の調整を行うことができるように構成可能にすることが本発明の１つの着想である。この目的のため、安全制御システムは、入力モジュール自体にまたは中央制御ユニットに信号パラメータを格納できる設定ユニットを備えている。信号パラメータは、入力信号の特性、例えば物理変数、例えば振幅、位相または信号の周波数が記述されている情報である。加えて、信号パラメータは、信号送信器によってもたらされる信号の変化を記述する相対的な情報を含むこともできる。

前記設定ユニットは、例えば、パラメータ値が変数として格納されることができるプログラマブルメモリーでもよい。プログラミングは、安全制御システムに対するユーザー入力によって、または、外部データをロードすることによって、手動で行うことができる。あるいは、信号パラメータを、接続された安全送信器を介して安全制御システムへ転送してもよい。

格納可能な信号パラメータは、接続された安全送信器の入力信号を記述しており、入力モジュールにより評価のために用いられてもよい。このようにして、評価をより正確に、予想される入力信号に合わせる(adjust)ことができる。安全制御システムの応答時間は、信号伝搬時間、すなわち、安全送信器の作動から出力信号のトリガーおよび接続されたアクチュエータの切換えまで必要とされる時間により、基本的に決定される。この信号伝搬時間は、関係するコンポーネントの個々の処理時間の合計から得られる。各電子部品の処理時間は、それぞれの伝搬遅延（それらは概して数ナノ秒の範囲である）に応じて、安全送信器および安全制御システムの中で決定される一方、各入力端における入力信号の評価の時間は入力フィルタおよび評価許容度のため著しく長い。しかしながら、予想される入力信号が安全制御システムにとってわかっている場合、入力フィルタは入力信号に合わせることができるかまたはおそらく省略されることさえできる。同様に、入力信号のある値が安全に検出される各許容範囲は、閾値検出のために減らされていてもよい。評価はこのように、より信頼性が高く、特に、より速い。その結果、安全制御システムの有用性および応答速度は全体として増大する。

特に都合のよいことは、異なる製造業者の安全送信器を、本発明の安全制御システムで用いることが可能であることである。任意の市販の安全送信器を、本発明の安全制御システムに接続することができる。その結果、安全制御システムは、全体的によりフレキシブルになる。特に、この種の安全制御システムは、既存のシステムから容易に改造することができる。

安全送信器の状態の正確な評価に加えて、重畳されたテスト信号を、好適に検出することもできて、詳細に評価することもできる。従って、特定の入力モジュールを以前に必要とした安全送信器でも使用することもできる。特に、制御装置と独立してテスト信号を入力信号に適用する能動的な安全送信器を、特定の、しばしば専用の入力モジュールを使用しなくても、本発明の安全制御システムに用いることが可能である。

上述した目的は、このように完全に達成される。

他の実施形態では、入力信号は、第１信号パラメータがテストパルスどうしの間の試験周期を表し、第２信号パラメータがテストパルス持続時間を表すテストパルスを伴う動的なクロック信号であってもよい。

この実施形態においては、入力信号は、テストパルスが一定のサイクルに適用される動的なクロック信号である。テストパルスは確立した試験周期の中で繰り返される好ましくは所定のパルス持続時間を有する方形パルスである。好ましくは、試験周期およびテストパルス持続時間は信号パラメータとして格納され、その結果、評価の間、テストパルスがいつ入力端で発生し、それがどれくらい持続するかがわかる。一方では、入力端での状態の変更が安全条件の状態の変更と間違ってみなされることが確実になくなり、一方では、テストパルスが意図された周期で、そして、意図された持続時間続くかどうかを確認することも可能である。このようにして、配線エラー、すなわち安全送信器におけるエラーまたは信号ライン上の配線の交錯／短絡を発見することができる。

付加的な実施形態において、入力モジュールは、安全送信器を接続するための第一の入力端と追加の安全送信器を接続するための少なくとも第二の入力端を有し、信号パラメータの第１の一組を安全送信器用の設定ユニットに保存することができ、信号パラメータの第２の組を追加安全送信器用の設定ユニットに保存することができる。

本実施形態において、安全送信器のための信号パラメータは、１セットにこのように結合される。さらにまた、入力モジュールが、異なるパラメータセットが格納される複数の入力端を有することができる。このようにして、個々の入力モジュールは、異なる安全送信器の異なる信号を同時に処理できる。好ましくは、入力モジュールは異なるクロック出力端を有し、それらを介して、異なるクロック信号を各入力端で安全送信器に印加することができる。入力モジュールの柔軟性は、入力端の付加によって、更に増加する。

追加の実施形態において、安全制御システムは、テスト信号を供給するための少なくとも一つのテスト出力端を有し、安全送信器がテスト信号に応じて各信号パラメータの１つのパラメータである遅延時間Δtを有する入力信号を生成する。

この本実施形態において、少なくとも一つの安全送信器は、安全送信器の機能的(functional)能力を点検できるテスト信号を受信するためのテスト入力端を有する。例えば、テストパルスが、テスト信号として周期的にセンサに送られてもよい。安全送信器は、安全送信器によって生成された入力信号上の類似のパルスを有するテストパルスに好ましくは反応する。センサのタイプに応じて、安全送信器の応答は、遅延時間Δtだけ遅延してもよい。Δtのための値は、設定ユニットに信号パラメータと共に格納され、評価している間考慮される。このようにして、例えば、外部から起動された試験を経た能動的な安全送信器からの各入力信号は、より安全にそして正確に評価されることができる。

付加的な実施形態において、安全送信器は、具体的特性を有する電線(electrical line)を介して安全制御システムに接続されており、そこにおいて、信号パラメータは、具体的特性を表す付加的なパラメータを含む。

前記具体的特性は、例えば、任意の方法で入力信号に変更もしくは影響を及ぼす、電線の、使用するケーブルタイプ、ケーブル長さまたは他の値を含む。このようにして、信号送信器の機能だけでなく、特定用途向けの機能について、安全送信器のより正確な調整ができる。特に、電線の容量効果(capacitive effect)は、入力信号に強い影響を及ぼし、安全な評価を遅延させる。もし評価のための容量効果がわかっている場合、評価時間はそれに応じて、例えば、入力フィルタを介して調整されてもよい。

付加的な実施形態において、安全制御システムは、設定ユニットを構成するための通信インタフェースを有する構成システムを備えている、そこにおいて、一組の信号パラメータは、通信インタフェースを介して設定ユニットへ転送されてもよい。

設定ユニットは、構成システムを介して信号パラメータによって、プログラムされてもよい。好ましくは、一組の信号パラメータは、外部システム（例えば、PC）でコンパイルされ、その後、１または複数の安全制御システムに対してブロックとして転送される。ネットワークまたはバス接続は、通信インタフェースとして用いることができる。あるいは、通信インタフェースは、携帯用の記憶媒体のリーダとして設計されてもよい。安全な構成は、構成システムを介して可能になる。

特に好ましくは、安全送信器用のパラメータセットは、安全送信器に特有のパラメータを含むセンサデータ部および特定用途向けパラメータを含むアプリケーションデータ部を有するセンサ定義ファイルに保存される。

このようにして、センサに依存するデータおよびアプリケーションに依存するデータは、各々別に格納されて、特定のアプリケーションの用途にだけ合併される。これは特定用途向けパラメータは、使用している(comissioning)間だけ特定されていればよいという効果がある。その一方で、安全送信器のためのデータ（電子データシート）は好ましくはライブラリから離れて設けられていればよい。その結果、設定はより単純になり、かつより安全になる。その理由は、センサのために誤ったパラメータを入力することができなくなるからである。

センサ定義ファイルは、特に好ましくは個々のチェックサムを有する。そして、それを基礎として、構成システムはセンサ定義ファイルを認証する。このようにして、センサ定義ファイルは、安全制御システムの誤った構成に結果としてなるかもしれない修正から保護される。

さらにまた、特に好適な実施形態において、構成システムは信頼性を点検するためのチェックアルゴリズムを有する。そのチェックアルゴリズムはセンサデータ部に関してアプリケーションデータ部を点検する。信頼性チェックのおかげで、ユーザにより入力される特定用途向けパラメータがセンサに特有のパラメータと一致するかが調べられる。信頼性チェックは、例えば、使用するケーブル長さが安全送信器のために決められる規定値を超えないことを確実にする検証を含んでいてもよい。同様に、信頼性チェックによって、構成が適切な安全性のレベルに到達することを確実にすることができる。さらにまた、相互接続エラーは、構成の初期段階で検出されることができて、取り除かれることができる。安全制御システムおよびその構成は、このようにより安全でありかつ、よりエラーを起こしにくくなる。

本発明の実施形態は、図面に図示され、下記の説明において、更に詳細に記載される。

本発明の安全制御システムの好適な実施形態を示す簡略図である。安全送信器を示す概略図である。異なるタイプの安全送信器を示す概略図である。異なるタイプの安全送信器を示す概略図である。安全制御システムを示す概略図である。安全制御システムの構成を示す概略図である。

図1は参照番号10で示される本発明の安全制御システム全体の１つの実施形態を表す。表された実施形態は、技術システム12を保護するためにここで用いられる安全制御システムである。この例では、技術システム12は人を保護するための危険ゾーンが光カーテン16によって区切られている自動ロボット14である。さらにまた、危険が生じたときにロボットのスイッチを切ることができる非常停止スイッチが参照番号18により示される。

光カーテン16および非常停止スイッチ18は、安全制御システム10の入力モジュール20に、各々接続している。非常停止スイッチ18は、第１の線22を介して、および、第２の線24を介して接続される。光カーテン16は、一本の線26を経て入力モジュール20に接続される。

光カーテン16および非常停止スイッチ18は、異なるタイプの安全送信器である。光カーテン16は能動的な安全送信器であり、非常停止スイッチ18は受動的な安全送信器である。両安全送信器は、図示されるように、一方では接続型式において、また一方では監視される安全臨界プロセス状態の信号方式において、異なる。

光カーテン16は、いわゆるOSSDデバイスである。それは、自動的に光カーテンの各状態を示す信号を生成するように設計されている。光カーテンが正常に動作している場合、すなわち、オブジェクトまたは人によって安全臨界状態を決定するために関連した光線28が中断されていない場合、光カーテン16は、線26を介して安全制御システムに所定の入力信号を送信する。能動的な安全送信器によって発生する信号はOSSD信号としばしば呼ばれる。そして、対応する線はOSSD線と呼ばれる。

OSSD信号は、安全送信器から安全制御システム10まで冗長に送信されることが好ましい。このためOSSD線26は、好ましくは２本のチャンネルを備えているように設計されている。これは、それぞれ単一チャネルの信号を送る複数のワイヤを有する線によって実現される。他の実施形態において、光カーテン16はテスト信号を受信するためのテスト入力端子を有することもできる。その入力端子を介して、下に詳細に述べるように、OSSD信号は目標とされる態様において影響を受ける。テスト信号は、各線の２つのワイヤの間に起こるクロス短絡を検出するために用いることができる。

非常停止スイッチ18は、自動的に信号を生成しない受動的な安全送信器である。好ましくは安全制御システムによって、外部テスト信号が受動的な安全送信器に供給される。受動的な安全送信器はそれを入力信号として出力側に提供する。この実施形態において、信号は、線22を介して非常停止スイッチ18に送り出される。ここで、非常停止スイッチ18は、非作動状態で線22から線24に信号を接続する２つの常閉接点を有する。線24を介して、テスト信号は、入力信号として入力モジュール20に戻る。もし非常停止スイッチ18が作動すれば、常閉接点は開かれ、線22から線24への信号の流れは中断される。

光カーテン16および非常停止スイッチ18は、このように、入力モジュール20に入力信号を送るかまたはそれを送らないということにより、それらが置かれている状態を示す。この場合、安全臨界状態は、入力信号の不存在によって、好ましくは表される。

２つの安全送信器16、18のうちの１つからの入力信号が不存在である場合、安全制御システムはロボット14を停止させることができるかまたはそれを危険でない状態に置くことができる。この実施形態において、この目的のために、安全制御システム10は、２つの接触器32が接続された出力モジュール30を備えている。接触器32の接点34は、ロボット14の電源36に直列に接続される。両方の接触器32が起動する場合のみ、ロボット14は電流を供給される。

安全送信器16、18の入力信号が入力モジュール20のいずれか一つで不存在である場合、安全制御システム10は出力モジュール30を介して接触器32の解除操作を開始する。この結果、ロボット14は電源36から分離させられる。

安全制御システム10はヘッドモジュール38を介してここでは詳細に述べない上位の制御器に接続されることもできる。上位の制御器への接続は、標準制御機能のために一般的に用いられるフィールドバスシステムを介して、または、出願人が安全関連機能のために市場に提供しているSafetybus Pのような特定の安全なバスを介して行うことができる。ヘッドモジュール38は、少なくとも一つの中央演算処理装置および通信のためのインターフェースを含む。

様々な安全送信器が、図2a、図2bおよび図2cに基づいて以下に詳細に説明される。

図2aは、入力モジュール20に接続されている受動的な安全送信器40の概略図を示す。受動的な安全送信器40は、例えば、実施形態を示す図1に示した非常停止スイッチ18であってもよい。ここで、入力モジュール20は、第一および第二の評価ユニット42a、42bを備えている。これらは入力信号を冗長に評価するように設計されている望ましくは２台のマイクロ制御器である。あるいは、評価は、異なる１つの信号処理ユニットを介して行われることもできる。評価ユニット42a、42bは二方向矢印44により示されるように、それらが各々をモニタすることが可能なように設計されている。モニタリング44および各評価ユニット42aおよび42bの、好ましくは異なる設計の結果、入力信号を評価するときに、安全性の非常に高いレベルで確実にすることができる。

入力モジュール20は、テスト出力端子46を有する。テスト信号48は、テスト出力端子46を介して評価ユニット42a、42bから出力される。ここで、テスト信号48は静止電圧である。そして、それは周期T（いわゆる試験周期）においてテストパルス持続時間dでテスト信号を遮断することによって動的になる。テスト信号48は安全送信器の入力端子50によって受け取られて、破線によって示される常閉接点52を経て安全送信器出力端子54に送られる。安全送信器出力端子54は入力モジュール20の入力端子56に接続しており、テスト信号48は不変のまま直接、入力端子56の入力信号58として存在する。

安全送信器の入力端子50と常閉接点52を経た安全送信器の出力端子54との直結のため、テスト出力46に存在するのと同じ信号が通常、入力56に存在する。従って、評価ユニット42a、42bは、テスト信号48から直接、入力信号56の予測される信号形を引き出すことができる。

図2aは、テスト信号48および入力信号58の理想的な信号形を示す。スイッチオン端およびスイッチオフ端（それは理想とされた方法で示されている）は、実際には急激に立ち上がることも立ち下がることもなく、それぞれ遅延を伴う。この遅延は、入力信号を表す信号パラメータの１つであるランプすなわちエッジの傾斜の形で表わされてもよい。

図2bは他の入力モジュール20を示し、それは図2aと同様に冗長な評価ユニット42a、42b、テスト信号出力46および入力56を含む。図2aと同じように、試験周期Tおよびテストパルス持続時間dを有するテスト信号48が、テスト信号出力端子46を介して供給される。この場合、接続される安全送信器は、能動的な安全送信器60である。能動的な安全送信器60は、例えば、図1の実施例に従った光バリアまたは光カーテンであってもよい。受動的な安全送信器40とは対照的に、能動的な安全送信器60は、自動的に入力信号58を生成して、安全送信器の出力端子54にそれを提供する信号送信器ユニット62を備えている。

図2bに示す実施形態において、能動的な安全送信器60は、テスト入力端子64において入力モジュールのテスト信号48を受信する。テスト信号48は信号送信器ユニット62に供給され、その結果、信号送信器ユニット62は入力信号58を生成する間、テスト信号48を処理することが可能である。図2bによる実施形態において、信号送信器ユニット62は、テストパルス66を入力信号58へ移す(transfer)。入力信号58上のテストパルス66は、理想的には同じ試験周期Tおよび同じテストパルス持続時間dを有する。しかしながら、入力信号のテストパルス66は、テスト信号48のテストパルス66に対して遅延時間Δtだけ遅れている。遅延時間は、例えば、信号送信器ユニット62による信号処理によって、生じてもよい。この遅延時間Δtのため、評価ユニット42a、42bは、直接テスト信号48から入力信号58の信号プロファイルを得ることができない。

本新規な安全制御システムにおいて、遅延時間Δtは設定ユニットに付加的な信号パラメータとして格納されてもよいが、設定ユニットのことはここでは述べない。評価ユニット42a、42bは、この値を読み出すことができて、評価の間、それを考慮することができる。このように、評価ユニット42a、42bは、直接、入力信号を調整することができる。この場合付加的な許容範囲を設定する必要がないのでそれによって評価は加速される。

図2cは、能動的な信号送信器60の入力モジュール20へのさらなる接続形態を示す。この実施形態では、入力モジュール20のテスト出力端子46は、接続されない。安全送信器の出力端子54と入力モジュールの入力端子56との間に１つの接続があるだけである。能動的な安全送信器60は、信号送信器ユニット62によって、出力信号58を自動的に生成する。この場合、信号送信器ユニット62は、テストパルス66´を入力信号58上へ自動的に調整する。テストパルス66´は、テストパルス持続時間dAを有する周期TAを繰り返す。テストパルス66´は、このように入力モジュール20と独立して、生成される。評価ユニット42は、従って入力信号58を評価するための参照変数を使用することができない。本新規な安全制御システムにおいて、周期TAおよび／またはテストパルス持続時間dAのための各値を格納してもよい。評価ユニット42a、42bは、これらの値にアクセスすることができて、それに対応して入力信号58を評価することができる。

それらが生成する入力信号が異なるにもかかわらず、図2aから図2cまでに示される安全送信器40、60の実施形態の全ては、本新規な安全制御システムに接続されることができる。この目的のために、各安全送信器ごとの特定の信号パラメータが、ユーザにより設定ユニットに格納されて、対応する入力モジュールに提供される。信号パラメータを調整することによって、入力モジュールは、種類の異なる安全送信器に応じた態様で調整されることができる。この場合、信号パラメータの異なる組を、複数の入力モジュール用の設定ユニットに保存することもできる。

信号パラメータは、上に示した各実施形態に限られていないことが理解されよう。上述した実施形態に加えて、入力信号58を記述する他の情報を、信号パラメータとして使うこともできる。完全な情報に加えて、相対的な情報または重み係数も考えられる。信号パラメータは、安全送信器への影響に限られていなくて、入力信号（例えば、容量のための値および／または電線の抵抗値）を記述する他のパラメータを含むこともできる。

図3は、本新規な安全制御システム10の構造および機能を模式的に表す。異なる安全送信器40、60が、安全制御システム10に接続されている。ここで、受動的な安全送信器である非常停止スイッチが参照番号40で示される。また、能動的な安全送信器である光カーテンが、参照番号60で示される。安全送信器40、60は、それらの入力信号58を安全制御システム10に送信する。安全制御システム10には安全送信器への出力端子を持っていてもよいが、簡潔のためここでは省略している。

ここで、安全制御システム10は、少なくとも一つの入力モジュール20および１つの出力モジュール30を備えている。後で詳しく述べるように、入力モジュール20は、入力信号58を評価して、入力信号58の関数として、出力信号68を出力する。出力信号68を基礎として、出力モジュールは、技術システム12を駆動し、できるならばそれを切断するかそれを安全な状態に移す。

安全制御システム10は、入力信号58の評価のための各信号パラメータ72が格納される設定ユニット70を備えている。信号パラメータ72は、入力信号58の信号プロファイルを記述する値である。信号パラメータ72による入力信号58の説明は、必ずしも完全である必要があるというわけではなく、正確にかつフェイルセーフな方法で入力信号を評価するのに必要であるパラメータだけに限ってもよい。

この場合、信号パラメータ72は好ましくは、安全送信器に特有の(safety transmitter-specific)部分74および特定用途向け(application-specific)部分76から成り立っている。安全送信器に特有の部分は、安全送信器だけの関数である信号パラメータ72を含む。これは、なかでも、信号／安全送信器のタイプ、試験周期、テストパルス持続時間、遅延時間Δtおよび／または入力フィルター時間であってもよい。好ましくは、安全送信器に特有の部分74は、いわゆる電子データシートとして格納される。

特定用途向け部分は、接続トポロジの関数である信号パラメータ72を含む。これらは、例えば、それを介して、安全送信器40、60が安全制御システム10に接続している線のケーブルタイプまたはケーブル長であってもよい。特定用途向け部分は、このように安全送信器40、60とは独立して入力信号58に影響するこれらのパラメータを含む。

安全送信器に特有の部分および特定用途向け部分は、望ましくはセンサ定義ファイル78の中に組み込まれる。この組込みはPC 80によって示される外部構成システム上で実施されてもよい。ユーザは、構成システム80を介して、アプリケーションインタフェースを用いて、好ましくは特定用途向けデータを入力することができて、それを安全送信器の電子データシートに接続できる。この場合、電子データシートは好ましくはライブラリに保存されているので、安全送信器をセットアップする際に入力エラーが除去される。

構成システム80によって生成されたセンサの定義ファイル78は、安全送信器に特有の部分および特定用途向け部分を含むことができて、通信インタフェース82を介して設定ユニット70に移される。通信インタフェース82は、有線転送もしくは無線転送を経て実現される。あるいは、通信インタフェースは、例えば携帯用の記憶媒体を用いて、手動搬送によって実現することもできる。

あるいは、安全送信器に特有の部分および特定用途向け部分は、別に設けることもできて、安全制御システムの中でのみ組み合わされることもできる。例えば、安全送信器に特有のパラメータは電子データシートの形で安全制御システムへ移行される。その一方で、特定用途向けパラメータは安全制御器に直接設定される。この場合、例として図4に基づき詳細に述べるように、安全関連パラメータの各転送は、「フェイルセーフ」システムにおいて安全に行われる。

図４は、信号パラメータ72が本新規な安全制御システムの設定ユニット70へいかにして転送されるかを図式的に表す図である。能動的なまたは受動的な安全送信器は参照番号40、60によって、ここで示される。それらは図1〜図3の実施形態に基づいて説明したように、安全制御システム10と対話する。安全送信器に特有のデータは、電子データシート84に組み込まれる。

電子データシートは、構成システム80へ安全に移される。転送を確実にするために、電子データシート84は、構成システム80が当該電子データシート84が修正なしで移されたかどうかを調べることができるチェックサムを有していてもよい。あるいは、電子データシート84は構成システムのメモリに格納されたライブラリで利用できるように保持されてもよく、その結果、安全な転送は必要でなくなる。

特定用途向けデータ76は、好ましくは構成システム80のユーザー入力端子を経て、構成システム80にも直接設けられている。構成システム80は、電子データシート84の安全送信器に特有のデータおよび特定用途向けデータ76をセンサ定義ファイル78に併合する。併合するときに、構成システム80は信頼性チェックも行う。この信頼性チェックに基づいて、構成制御装置80は、ユーザにより入力される特定用途向けデータ76および電子データシートの安全送信器に特有のデータが結果として安全制御システム10のための有効な構成になっているかどうか調べる。その後、センサ定義ファイル78は、安全な接続を経て安全制御システム10に移されて、設定ユニット70に格納される。

代替的な実施態様において、構成システム80は、安全制御システム10に一体化されることもできる。このために安全制御システムは、特定用途向けデータおよび／または安全送信器に特有のデータの入力ができる入力ユニットを備えていることが好ましい。追加的な実施形態において、特定用途向けデータが安全送信器に特有のデータとは別に設けられていてもよい。例えば、安全送信器に特有のデータが安全制御システムの外側から用意され、特定用途向けデータが安全制御システムに直接入力されるようにすることもできる。

あるいは、ネットワーク接続または携帯用の記憶媒体のためのインターフェースを、通信インタフェース82と考えることもできる。さらにまた、上述したチェックサムによる評価に加えて、他の方法を、安全な転送および検証のために用いることもできる。

Claims

少なくとも一つのアクチュエータのスイッチを入れ、安全にスイッチを切るための安全制御システム(10)であって、
安全送信器の入力信号(58)を評価し、出力信号を生成するための少なくとも一つの入力モジュール(20)と、前記入力モジュール(20)の出力信号に応じてアクチュエータを安全に作動させるための少なくとも一つの出力モジュール(30)とを含み、
前記入力信号(58)が安全送信器のタイプに応じて、異なる信号パラメータ(72)を有し、
前記安全制御システムは、前記入力モジュール(20)のための前記信号パラメータ(72)が格納されるメモリを有する設定ユニット(70)を含み、
前記入力モジュール(20)は、前記信号パラメータ(72)の関数として入力信号(58)を評価する、安全制御システム。
前記入力信号(58)は、テストパルス(66)を伴う動的なクロック信号であり、第１の信号パラメータが各テストパルス間の試験周期を表し、第２の信号パラメータがテストパルスの持続時間を表す、請求項１に記載の安全制御システム。
前記入力モジュール(20)は、前記安全送信器を接続するための第１の入力端子と、追加の安全送信器を接続するための少なくとも第２の入力とを有し、信号パラメータの第１のセットが安全送信器用の設定ユニット(70)に格納され、信号パラメータの第２のセットが追加の安全送信器用の設定ユニット(70)に格納される、請求項１または請求項２に記載の安全制御システム。
前記安全制御システムがテスト信号(48)を供給するために少なくとも１つのテスト出力端子(46)を有し、前記安全送信器は、テスト信号端子(48)の関数として、遅延時間Δtで前記入力信号(58)を生成し、前記Δtが前記信号パラメータ(72)の中の１つのパラメータである、請求項１〜請求項３のいずれか１項に記載の安全制御システム。
前記安全送信器は、所定の特性を有する電線路(22)を介して前記安全制御システムに接続され、前記信号パラメータ(72)が前記所定の特性を表す追加のパラメータを含む、請求項１〜請求項４のいずれか１項に記載の安全制御システム。
前記安全制御システムが前記設定ユニット(70)を構成するための通信インタフェース(82)を有する構成システムを備えており、当該インターフェースを通して一組の信号パラメータ(72)が設定ユニット(70)へ転送されてもよい、請求項１〜請求項５のいずれか１項に記載の安全制御システム。
前記信号パラメータ(72)は安全送信器のためのセットに組み込まれて、センサ定義ファイル(78)に保存され、前記センサ定義ファイルは、前記安全送信器の安全送信器に特有のパラメータを伴うセンサデータ部(74)および特定用途向けパラメータを伴うアプリケーションデータ部(76) を含む、請求項６に記載の安全制御システム。
前記センサ定義ファイルは個々のチェックサムを有し、前記構成システム(80)は前記チェックサムに基づいてセンサ定義ファイル(78)を認証する、請求項７に記載の安全制御システム。
前記構成システムが信頼性を点検するため少なくとも一つのチェックアルゴリズムを有し、前記チェックアルゴリズムは、センサデータ部(74)に関して前記アプリケーションデータ部(76)をチェックする、請求項６〜請求項８のいずれか１項に記載の安全制御システム。
少なくとも一つのアクチュエータのスイッチを入れ、安全にスイッチを切るための方法であって、
モニタされるべき安全臨界プロセスに応じて、入力信号(58)を生成するための安全送信器(40, 60)を提供するステップと、
少なくとも一つの入力モジュール(20)および１つの出力モジュール(30)を有する安全制御システム(10)を提供するステップと、
前記安全制御システム(10)の設定ユニット(70)の中の前記安全送信器(40, 60)のタイプに応じて、前記入力信号(58)のための信号パラメータ(72)を格納するステップと、
前記設定ユニット(70)に格納される前記信号パラメータ(72)に応じて、前記入力モジュール(20)を介して前記入力信号(58)を評価するステップと、
前記評価に応じて、前記出力モジュール(30)のための出力信号(68)を生成するステップと、
前記出力信号(68)に応じて、前記出力モジュール(30)を介してアクチュエータを作動させるステップとを含む、方法。
前記センサ定義ファイル(78)中の安全送信器(40, 60)のための信号パラメータ(72)を検出するステップと、
前記センサ定義ファイル(78)のためのチェックサムを確認するステップと、
前記センサ定義ファイル(78)を前記安全制御システムへ移すステップと、
前記チェックサムに基づいて前記センサ定義ファイル(78)を認証するステップとをさらに含む、請求項１０に記載の方法。